Windows取证——ShellBags

xiaochuhe--kaishui

已于 2023-01-09 15:54:42 修改

阅读量1.2k

点赞数 2

分类专栏： Windows 电子取证文章标签： windows

于 2023-01-05 21:15:47 首次发布

本文链接：https://blog.csdn.net/xiaofengdada/article/details/128570328

版权

电子取证同时被 2 个专栏收录

24 篇文章 ¥9.90 ¥99.00

订阅专栏

超级会员免费看

Windows

7 篇文章

订阅专栏

ShellBags是Windows系统中记录文件夹信息的注册表项，包含时间戳，用于改善用户体验。它们在删除文件夹后仍保留，可用于取证，揭示用户活动。ShellBags自Windows 7起广泛使用，存储在NTUSER.dat和USRCLASS.dat中，通过Volatility等工具可解析获取用户活动线索。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

一、概念

ShellBags是一组用来记录文件夹（包括挂载网络驱动器文件夹和挂载设备的文件夹）的名称、大小、图标、视图、位置的注册表项，或称为BagMRU。每次对文件夹的操作，ShellBags的信息都会更新，而且包含时间戳信息。是Windows系统改善用户体验的功能之一。即使删除文件夹后，ShellBags仍然会保留文件夹的信息。因此可以用来揭示用户的活动。

volatility下解析并打印从注册表中获取的Shellbag信息。其中shellbag是一组注册表项，被windows用来维护使用资源管理器时文件夹的大小、视图、图表和位置；即使在删除目录以后，Shellbags仍会保留目录的信息，可以用来枚举过去装入的卷，删除的文件和用户操作，重建用户活动。